Kill switch

É o mecanismo para desligar ou degradar uma capacidade de IA imediatamente, por decisão humana, sem depender de deploy: uma feature flag, uma chave de configuração, uma rota de fallback. Precisa ser conhecido, testado e acessível a quem tem autoridade para usá-lo, inclusive fora do horário comercial. A regulação europeia exige que sistemas de alto risco tenham supervisão humana com possibilidade de interrupção.

Em Produto, toda capacidade em produção precisa de kill switch com dono nomeado e critério de acionamento no runbook: resposta ofensiva viral, vazamento de dados, custo fora de controle. O botão deve ser testado antes do lançamento. Um kill switch que ninguém sabe usar, ou que ninguém tem permissão de acionar, não existe. Por exemplo, a flag “assistente_ativo = false” troca o bot pela fila humana em 10 segundos, acionada pelo gerente de plantão após uma captura de tela viral.

Use kill switch para parar tudo por decisão humana. Use rollback para voltar à versão anterior de uma mudança específica. Use circuit breaker para reação automática a falhas técnicas. Uma forma simples de diferenciar: kill switch é a pessoa desligando; circuit breaker é o sistema se protegendo; rollback é voltar no tempo.

Botão de emergência de máquinas industriais; adotado por governança de IA (EU AI Act exige 'human oversight' com possibilidade de interromper sistemas de alto risco).

EU AI Act, Art. 14 Human oversight; NIST AI RMF 1.0, Manage